Orientiert an ISO/IEC 27001:2022 & Anhang A
Zertifizierungsreif, bevor der Auditor kommt
Gap-Analyse gegen Anhang A, ISMS-Aufbau und das interne Audit, das die Norm verlangt. Damit Ihr Zertifizierungsaudit keine Überraschungen bereithält.
Das Problem
Der Ordner, den niemand liest
Erstzertifizierungen scheitern fast immer gleich. Ein Richtlinien-Template-Paket wird gekauft, ausgefüllt und abgelegt – und der Zertifizierungsauditor findet keinen Nachweis, dass sich jemand daran hält. Die Dokumente existieren. Das Managementsystem nicht.
Die zweite Überraschung kommt später: Abschnitt 9.2 verlangt ein internes Audit vor dem externen. Unternehmen entdecken das regelmäßig wenige Wochen vor dem Audittermin – und finden intern niemanden, der es unabhängig durchführen darf.
Unser Ansatz
Ein ISMS, das den Auditor übersteht
Wir bauen das ISMS in der Reihenfolge auf, in der die Norm tatsächlich funktioniert: erst Anwendungsbereich, dann Risikomethodik, dann Maßnahmen – damit die Erklärung zur Anwendbarkeit (SoA) Entscheidungen abbildet und nicht abgehakte Kästchen.
Anschließend führen wir das von Abschnitt 9.2 geforderte interne Audit als unabhängige Partei durch und liefern einen Feststellungsbericht mit Korrekturmaßnahmen, mit dem Ihre Managementbewertung arbeiten kann. Wenn die Zertifizierungsstelle kommt, ist nichts an Ihrem ISMS eine Neuigkeit.
Wie es funktioniert
01
Scoping & Gap-Analyse
Festlegung des Anwendungsbereichs – die Entscheidung mit dem größten Einfluss auf die Gesamtkosten.
Gap-Analyse gegen die Abschnitte 4–10 und alle 93 Maßnahmen aus Anhang A.
Anrechnung des Bestehenden: vorhandene Richtlinien, Werkzeuge, Praktiken.
Realistischer Zeit- und Aufwandsplan bis zur Zertifizierungsreife.
02
ISMS-Aufbau
Risikomethodik und Risikoregister, angewandt auf Ihre realen Werte.
Erklärung zur Anwendbarkeit mit dokumentierten Begründungen.
Richtlinien, geschrieben für Ihr Unternehmen – nicht aus einem Template übernommen.
Nachweisroutinen, damit Aufzeichnungen im Arbeitsalltag entstehen und nicht in der Woche vor dem Audit.
03
Internes Audit (Abschnitt 9.2)
Unabhängiges internes Audit, wie es Abschnitt 9.2 fordert.
Feststellungen nach Schweregrad klassifiziert, mit Korrekturmaßnahmen.
Durchgeführt wie ein Zertifizierungsaudit: Stichproben, Interviews, Nachweise.
04
Managementbewertung & Übergabe
Eingabepaket für die Managementbewertung nach Abschnitt 9.3.
Auswahl der Zertifizierungsstelle und Vorbereitung auf Stufe 1 und Stufe 2.
Übergabe an Ihre interne Verantwortliche oder Ihren internen Verantwortlichen, inklusive dokumentiertem Betriebsrhythmus.
So setzen wir um
Ihr Team betreibt es. Wir machen es funktionsfähig.
Eine Zertifizierung ist ein Projekt, kein Workshop. Wir arbeiten sechs bis zwölf Monate an der Seite Ihres Teams – abhängig von Umfang und Ausgangsreife. Am Ende gehört das ISMS Ihnen, nicht uns.
Sie erhalten:
Gap-Bericht zu den Abschnitten 4–10 und Anhang A.
ISMS-Dokumentation inklusive Anwendungsbereich, SoA und Risikoregister.
Bericht zum internen Audit mit Feststellungen und Korrekturmaßnahmen.
Paket zur Managementbewertung nach Abschnitt 9.3.
Für wen
Ideal für:
Erstzertifizierer: Ein Kunde oder eine Ausschreibung hat ISO 27001 zur Bedingung gemacht.
Unternehmen mit steckengebliebenem ISMS: Die Dokumentation existiert, betrieben wird nichts.
Zertifizierte Organisationen: die je Zyklus einen unabhängigen internen Auditor brauchen.
Teams mit NIS2 oder TISAX im Nacken: ein Maßnahmenset, über alle drei hinweg zugeordnet.
Warum investieren?
Wirkung 01
Auditsicherheit
Das interne Audit findet, was der Zertifizierungsauditor gefunden hätte – solange es nur Zeit kostet und kein Zertifikat.
Wirkung 02
Zugang zu Aufträgen
ISO 27001 ist in den meisten Enterprise- und öffentlichen Ausschreibungen Teilnahmevoraussetzung. Kein Zertifikat, keine Shortlist.
Wirkung 03
Keine Nacharbeit
Ein zu Beginn richtig gesetzter Anwendungsbereich ist der größte Hebel auf die Gesamtkosten. Genau hier entstehen die meisten Budgetüberschreitungen.
Tracer
by Vective
Zwischen den Tests
prüft Tracer weiter.
Diese Leistung zeigt, wo Sie heute stehen. Tracer, unser kontinuierlicher Sicherheitsnachweis, findet und belegt Angriffswege auch zwischen den Einsätzen, prüft jede Behebung nach und hält die Nachweise bereit, die Ihre Auditoren sehen wollen.
Zugeschnitten auf Ihre Situation.
Nicht auf eine Preisliste.
ISO 27001-Readiness
Gap-Analyse, ISMS-Aufbau und internes Audit
Format: Projektbegleitung an der Seite Ihres Teams, remote oder vor Ort.
Dauer: typischerweise sechs bis zwölf Monate bis zur Zertifizierungsreife.
Umfang: Abschnitte 4–10, alle 93 Maßnahmen aus Anhang A, internes Audit.
Ergebnisse: Gap-Bericht, ISMS-Dokumentation, Bericht zum internen Audit.
Unabhängigkeit: Wir bereiten vor, eine akkreditierte Stelle zertifiziert.
Fragen,
beantwortet.
Noch etwas offen? Fragen Sie uns direkt, wir helfen gern weiter.
Stellen Sie das Zertifikat aus?
Wie lange dauert das Ganze?
Können Sie dauerhaft unser interner Auditor sein?
Wir haben ein Richtlinien-Template-Paket gekauft. Ist das ein Vorsprung?
Das ist noch nicht alles.
Wie wir Sie außerdem unterstützen.
ISO 27001 Konforme Methodik
AI Agents & Secure Automation
Beherrschen Sie agentische KI und souveräne Automatisierung. Lernen Sie, sichere KI-Agenten mit n8n und Dify in diesem vierstündigen Vective-Workshop zu erstellen. Hören Sie auf zu chatten, fangen Sie an zu bauen.
Nach OWASP Top 10 für LLMs
AI Red Teaming & Attack Simulation
Ihre LLM-Anwendungen und Agenten haben eine Angriffsfläche, für die ein Penetrationstest nie ausgelegt war: Prompt Injection, Missbrauch von Tools und Datenabfluss über den Kontext. Wir prüfen sie so, wie ein Angreifer es tun würde.
Durchgeführt von zertifizierten KI- und Cybersicherheitsexperten
AI Security & Defense Strategy
Angreifer nutzen KI bereits. Sind Sie vorbereitet? Ein strategischer Deep-Dive in die neue Ära der IT-Sicherheit. Lernen Sie, wie KI-gestützte Malware funktioniert, wie man Deepfakes erkennt und wie Sie KI nutzen, um Angriffe in Millisekunden abzuwehren.
Unsicher, welche Leistung passt?
Finden wir es gemeinsam heraus.
In einem kostenlosen 30-minütigen Gespräch schauen wir, wo Sie stehen und was Ihnen am meisten hilft. Wenn wir nicht die Richtigen sind, sagen wir Ihnen, wer es ist.